איך עובדת מתקפת "נהג האוטובוס"

החוקרים — בהובלת סאם קראו, דוקטור לשעבר מ-UCSD — תכננו, בנו ותכנתו לוח מעגלים קטן המשמש כמכשיר צד שלישי זדוני המוחדר בין שני מחשבים מרכזיים על המטוס . כך המתקפה מתבצעת:

התקנה פיזית תוך פחות מ-60 שניות

המכשיר, בגודל של מטבע של רבע דולר ובעלות בנייה של פחות מ-100 דולר, מותקן על ידי פתיחת דלת חיצונית בגוף המטוס בגישה לתא האלקטרוניקה (E&E bay) . תוקף יכול לפתוח דלת זו תוך כ-15 שניות ללא צורך בכלים מיוחדים, ולאחר מכן לחבר את המכשיר ליציאת מחשב תחזוקה (OMC) חשופה . כל התהליך אורך פחות מ-60 שניות, והמכשיר קטן מספיק כדי להסתתר מתחת לכיסוי האבק של היציאה, ולהישאר בלתי נראה במהלך בדיקות שוטפות .

ניצול אפיק האוויוניקה ARINC 429

לאחר החיבור, המכשיר חודר לאפיק הנתונים הלא מוצפן ARINC 429, אפיק טורי בעל מאסטר יחיד המוביל את כל התקשורת בין מחשב ניהול הטיסה (FMC) לצג הטייס (MCDU) . ל-ARINC 429 אין אימות או הצפנה מובנים. נקודת התורפה המרכזית היא שתכנונו החשמלי משתמש בנגדי תיאום עכבה המאפשרים למכשיר זדוני להתגבר חשמלית על אותות חוקיים על ידי הזרמת זרם חזק יותר לקווי האפיק מאשר המשדר המורשה . החוקרים כינו טכניקת דיכוי אותות זו "מתקפת נהג האוטובוס" .

מה המכשיר יכול לשנות

לאחר שהשתלט על האפיק, המכשיר יכול להזריק פקודות מזויפות ולבצע:

• שינוי נקודות ציון והסטת המטוס מהנתיב המתוכנת
• שינוי חישובי משקל ההמראה, המשפיע ישירות על מהירויות ההמראה (V-speeds)
• שינוי ערכי טמפרטורת האוויר החיצונית וכמות הדלק, מה שמשנה חישובי ביצועים קריטיים

התגנבות: צג הטייס המזויף

במקביל, המכשיר שולח נתונים מזויפים לצגים בתא הטייס כך שהטייס רואה את תוכנית הטיסה המקורית ללא שינוי — ובכך מסתיר למעשה את כל השינויים . הטייס לא יראה שום אזהרה או חוסר התאמה על מסך ה-MCDU, מה שהופך את המתקפה לקשה ביותר לזיהוי מתא הטייס .

שליטה מרחוק ב-Wi-Fi במהלך הטיסה

המכשיר כולל משדר Wi-Fi, המאפשר לתוקף לשלוח פקודות באופן אלחוטי בזמן אמת או אפילו לפרוס עדכון תוכנה זדוני בזמן שהמטוס באוויר . המשמעות היא שניתן לשלוט במכשיר באופן דינמי מרגע ההתקנה ולאורך כל משך הטיסה.

תגובת בואינג

צוות המחקר חשף לראשונה את הפרצה בפני בואינג עוד ב2020, ולאחר מכן עבד בשיתוף פעולה הדוק עם היצרן כדי לבדוק ולאמת את המתקפה במעבדה של בואינג עצמה .

בתגובה, בואינג פרסמה הצהרה שהמעיטה בסיכון המעשי: "המומחים הטכניים שלנו בטוחים ששכבות ההגנה הקיימות במטוס, לרבות בתכנון המערכת ובסבימת ההפעלה, מספקות הפחתה מספקת כדי להגביל משמעותית את ההיתכנות והסיכון של מתקפות בעולם האמיתי" . בואינג גם מסרה כי ביצעה סקירה משלה של תכנוני הרכיבים הרלוונטיים, ההתקנות והממשקים בתגובה לממצאי החוקרים .

המלצות לתיקון

החוקרים הציעו שורה של אמצעי הגנה לטיפול בפרצה, כולל :

• חסימה פיזית של הגישה ליציאת התחזוקה החיצונית, למשל באמצעות פנלים ניתנים לנעילה או חותמות נגד חבלה
• שיפור הבידוד החשמלי באפיק ARINC 429 כדי להקשות על מתקפות השתלטות על האפיק
• הוספת אימות קריפטוגרפי להודעות ARINC 429
• הטמעת איחוד חיישנים (sensor fusion) ובדיקות צולבות (cross-checking) כך שסתירות בין פרמטרי טיסה יתגלו על ידי מערכות יתירות
• שיפור ההתראות בתא הטייס כך שהטייסים יקבלו הודעה על אי-התאמות בין נתוני ה-FMC לנתוני התצוגה

החוקרים הדגישו כי ממצאיהם אינם מחייבים קרקוע של צי המטוסים, אלא קריאה לשיפורים מעשיים ומיידיים באבטחה הפיזית ובשלמות אפיקי האוויוניקה .

איך עובדת מתקפת "נהג האוטובוס"

החוקרים — בהובלת סאם קראו, דוקטור לשעבר מ-UCSD — תכננו, בנו ותכנתו לוח מעגלים קטן המשמש כמכשיר צד שלישי זדוני המוחדר בין שני מחשבים מרכזיים על המטוס . כך המתקפה מתבצעת:

התקנה פיזית תוך פחות מ-60 שניות

המכשיר, בגודל של מטבע של רבע דולר ובעלות בנייה של פחות מ-100 דולר, מותקן על ידי פתיחת דלת חיצונית בגוף המטוס בגישה לתא האלקטרוניקה (E&E bay) . תוקף יכול לפתוח דלת זו תוך כ-15 שניות ללא צורך בכלים מיוחדים, ולאחר מכן לחבר את המכשיר ליציאת מחשב תחזוקה (OMC) חשופה . כל התהליך אורך פחות מ-60 שניות, והמכשיר קטן מספיק כדי להסתתר מתחת לכיסוי האבק של היציאה, ולהישאר בלתי נראה במהלך בדיקות שוטפות .

ניצול אפיק האוויוניקה ARINC 429

לאחר החיבור, המכשיר חודר לאפיק הנתונים הלא מוצפן ARINC 429, אפיק טורי בעל מאסטר יחיד המוביל את כל התקשורת בין מחשב ניהול הטיסה (FMC) לצג הטייס (MCDU) . ל-ARINC 429 אין אימות או הצפנה מובנים. נקודת התורפה המרכזית היא שתכנונו החשמלי משתמש בנגדי תיאום עכבה המאפשרים למכשיר זדוני להתגבר חשמלית על אותות חוקיים על ידי הזרמת זרם חזק יותר לקווי האפיק מאשר המשדר המורשה . החוקרים כינו טכניקת דיכוי אותות זו "מתקפת נהג האוטובוס" .

מה המכשיר יכול לשנות

לאחר שהשתלט על האפיק, המכשיר יכול להזריק פקודות מזויפות ולבצע:

• שינוי נקודות ציון והסטת המטוס מהנתיב המתוכנת
• שינוי חישובי משקל ההמראה, המשפיע ישירות על מהירויות ההמראה (V-speeds)
• שינוי ערכי טמפרטורת האוויר החיצונית וכמות הדלק, מה שמשנה חישובי ביצועים קריטיים

התגנבות: צג הטייס המזויף

במקביל, המכשיר שולח נתונים מזויפים לצגים בתא הטייס כך שהטייס רואה את תוכנית הטיסה המקורית ללא שינוי — ובכך מסתיר למעשה את כל השינויים . הטייס לא יראה שום אזהרה או חוסר התאמה על מסך ה-MCDU, מה שהופך את המתקפה לקשה ביותר לזיהוי מתא הטייס .

שליטה מרחוק ב-Wi-Fi במהלך הטיסה

המכשיר כולל משדר Wi-Fi, המאפשר לתוקף לשלוח פקודות באופן אלחוטי בזמן אמת או אפילו לפרוס עדכון תוכנה זדוני בזמן שהמטוס באוויר . המשמעות היא שניתן לשלוט במכשיר באופן דינמי מרגע ההתקנה ולאורך כל משך הטיסה.

תגובת בואינג

צוות המחקר חשף לראשונה את הפרצה בפני בואינג עוד ב2020, ולאחר מכן עבד בשיתוף פעולה הדוק עם היצרן כדי לבדוק ולאמת את המתקפה במעבדה של בואינג עצמה .

בתגובה, בואינג פרסמה הצהרה שהמעיטה בסיכון המעשי: "המומחים הטכניים שלנו בטוחים ששכבות ההגנה הקיימות במטוס, לרבות בתכנון המערכת ובסבימת ההפעלה, מספקות הפחתה מספקת כדי להגביל משמעותית את ההיתכנות והסיכון של מתקפות בעולם האמיתי" . בואינג גם מסרה כי ביצעה סקירה משלה של תכנוני הרכיבים הרלוונטיים, ההתקנות והממשקים בתגובה לממצאי החוקרים .

המלצות לתיקון

החוקרים הציעו שורה של אמצעי הגנה לטיפול בפרצה, כולל :

• חסימה פיזית של הגישה ליציאת התחזוקה החיצונית, למשל באמצעות פנלים ניתנים לנעילה או חותמות נגד חבלה
• שיפור הבידוד החשמלי באפיק ARINC 429 כדי להקשות על מתקפות השתלטות על האפיק
• הוספת אימות קריפטוגרפי להודעות ARINC 429
• הטמעת איחוד חיישנים (sensor fusion) ובדיקות צולבות (cross-checking) כך שסתירות בין פרמטרי טיסה יתגלו על ידי מערכות יתירות
• שיפור ההתראות בתא הטייס כך שהטייסים יקבלו הודעה על אי-התאמות בין נתוני ה-FMC לנתוני התצוגה

החוקרים הדגישו כי ממצאיהם אינם מחייבים קרקוע של צי המטוסים, אלא קריאה לשיפורים מעשיים ומיידיים באבטחה הפיזית ובשלמות אפיקי האוויוניקה .